Lazarus utilizza Microsoft Internet Information Services (IIS) per distribuire malware

Redazione RHC : 11 Giugno 2023 09:33

L’AhnLab Security Emergency Response Center (ASEC) riferisce che il gruppo di hacker nordcoreani Lazarus Group sta prendendo di mira le versioni vulnerabili dei server Microsoft Internet Information Services (IIS) per distribuire malware sui sistemi bersaglio.

Secondo AhnLab Securit, il gruppo utilizza un metodo di sideload DLL (DLL Sideloading) per lanciare payload arbitrari. 

Gli hacker inseriscono una DLL dannosa (msvcr100.dll) nello stesso percorso della cartella di una normale applicazione (Wordconv.exe) tramite il processo del server Web Windows IIS, w3wp.exe. 

Gli aggressori avviano quindi una normale applicazione per avviare l’esecuzione della DLL dannosa.

La libreria dannosa “msvcr100.dll” è progettata per decrittografare i payload codificati, che vengono quindi eseguiti in memoria.

Si dice che il malware sia una variante scoperta dall’ASEC lo scorso anno e che fungesse da backdoor per comunicare con il server C2.

La catena di attacchi ha comportato anche l’uso di un plug-in Notepad++ open source chiamato Quick Color Picker, che ora è deprecato, per fornire malware aggiuntivo per facilitare il furto di credenziali e il movimento laterale.

L’ultimo sviluppo dimostra la varietà degli attacchi di Lazarus e la capacità del gruppo di utilizzare un’ampia gamma di strumenti per operazioni di spionaggio a lungo termine.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.